Kubernetes中Spring授权服务器、网关及OAuth客户端认证问题

问题根源 #

浏览器运行在本地环境，无法解析Kubernetes集群内部的Service域名（如spring-authorization-server）。Gateway作为OAuth2客户端在集群内调用授权服务正常，但重定向给浏览器的URL使用了内部域名，导致浏览器无法访问授权页面。

解决方案步骤 #

1. 启用Minikube Ingress Controller #

Minikube默认未启用Ingress插件，先执行以下命令开启：

minikube addons enable ingress

等待插件启动完成后，验证Ingress Controller状态：

kubectl get pods -n kube-system | grep ingress

2. 修正Ingress配置文件 #

替换之前的Ingress配置为以下内容（确保规则正确指向对应Service）：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: spring-microservices-ingress
  annotations:
    nginx.ingress.kubernetes.io/ssl-redirect: "false" # 本地开发禁用HTTPS重定向
spec:
  rules:
    - host: spring-cloud-gateway.local
      http:
        paths:
          - pathType: Prefix
            path: "/"
            backend:
              service:
                name: spring-cloud-gateway
                port:
                  number: 8090
    - host: spring-authorization-server.local
      http:
        paths:
          - pathType: Prefix
            path: "/"
            backend:
              service:
                name: spring-authorization-server
                port:
                  number: 9000

应用配置：

kubectl apply -f ingress.yaml

查看Ingress状态，确认ADDRESS列显示Minikube的IP：

kubectl get ingress

3. 配置本地hosts文件 #

将Minikube IP与Ingress域名绑定，执行以下命令（Linux/macOS）：

echo "$(minikube ip) spring-cloud-gateway.local spring-authorization-server.local" | sudo tee -a /etc/hosts

Windows用户需手动编辑C:\Windows\System32\drivers\etc\hosts文件，添加对应映射。

4. 修改Gateway的OAuth2客户端配置 #

关键要将授权服务的issuer-uri改为浏览器可访问的外部域名（即Ingress配置的host），示例配置：

spring:
  security:
    oauth2:
      client:
        provider:
          spring:
            issuer-uri: http://spring-authorization-server.local
        registration:
          spring:
            client-id: your-client-id # 替换为实际客户端ID
            client-secret: your-client-secret # 替换为实际客户端密钥
            redirect-uri: "{baseUrl}/login/oauth2/code/spring"
            scope: openid,profile,email

重启Gateway服务，使配置生效。

5. 验证功能 #

在浏览器中访问http://spring-cloud-gateway.local，尝试登录操作：

• 检查重定向URL是否为http://spring-authorization-server.local/oauth2/authorize
• 确认授权页面正常加载，登录流程可完成

常见排查点 #

• 若Ingress无响应，查看Nginx Ingress Controller日志：

  kubectl logs -n kube-system deployment/nginx-ingress-controller
  

• 确认Authorization Server的Service为ClusterIP类型，且端口与Ingress配置一致
• 检查Authorization Server的客户端注册配置，确保redirect-uri包含spring-cloud-gateway.local的域名（需与Gateway的redirect-uri完全匹配）

内容的提问来源于stack exchange，提问作者user3379331